Net - Worm.Win32.Kido.ih potx
Bạn đang xem bản rút gọn của tài liệu. Xem và tải ngay bản đầy đủ của tài liệu tại đây (115.65 KB, 3 trang )
Net - Worm.Win32.Kido.ih
Chi tiết kĩ thuật
Con worm này lây lan thông qua mạng nội bộ và các thiết bị lưu trữ di động như
USB. Nó là một file Window PE DLL. Các thành phần của con worm này có kích
thước khác nhau khoảng từ 155KB đến 165KB. Nó được nén lại bằng cách sử
dụng UPX.
Cài đặt
Nó sẽ tự động copy file thực thi của nó với một cái tên ngẫu nhiên như sau:
%System%\<rnd>dir.dll
%Program Files%\Internet Explorer\<rnd>.dll
%Program Files%\Movie Maker\<rnd>.dll
%All Users Application Data%\<rnd>.dll
%Temp%\<rnd>.dll
%System%\<rnd>tmp
%Temp%\<rnd>.tmp
Trong đó <rnd> là một chuỗi ngẫu nhiên những kí hiệu.
Để đảm bảo rằng nó sẽ được khởi động trong lần tiếp theo khi hệ thống được khởi
động, nó sẽ tạo ra một service hệ thống, service này sẽ khởi động file thực thi của
worm này mỗi khi Windows được khởi động. Khóa registry sau sẽ được tạo ra:
[HKLM\SYSTEM\CurrentControlSet\Services\netsvcs]
Worm này cũng thay đổi giá trị của các khóa registry sau:
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost]
"netsvcs" = "<original value> %System%\<rnd>.dll"
Sự lây lan
Worm này sau đó sẽ khởi động một HTTP server trên một cổng TCP ngẫu nhiên;
cổng này sau đó được dùng để tải về file thực thi của con worm này đến các máy
tính khác.
Worm này sẽ lấy về địa chỉ IP của các máy tính trong mạng của máy tính bị tiêm
nhiễm đầu tiên và tấn công chúng thông qua một lỗi tràn bộ đệm trong dịch vụ
Server. Worm này cũng gửi một yêu cầu RPC đặc biệt đến hệ thống ở xa. Điều
này gây ra lỗi tràn bộ đệm khi hàm wcscpy_s được gọi trong thư
viện netapi32.dll; cái này giúp khởi động đoạn mã để tải về file thực thi của worm
đến hệ thống của nạn nhân và khởi động nó. Sau đó worm này sẽ được cài đặt vào
hệ thống bị tiêm nhiễm mới.
Để khai thác lỗ hổng được mô tả ở trên, worm này sẽ cố gắng kết nối đến tài
khoản Administrator trên hệ thống ở xa. Worm này dùng các password như dưới
đây để tìm kiếm password của account này thông qua phương pháp "brute force":
Lây lan thông qua thiết bị lưu trữ di động
Worm này sẽ sao chép file thực thi của nó đến tất cả các ổ đĩa di động như dưới
đây:
<X>:\RECYCLER\S-<%d%>-<%d%>-%d%>-%d%>-%d%>-%d%>-
%d%>\<rnd>.vmx,
Đồng thời nó cũng tạo ra file sau đây trong thư mục gốc của mỗi ổ đĩa:
<X>:\autorun.inf
File này giúp khởi động file thực thi của worm mỗi khi cửa sổ Windows Explorer
được dùng để mở ổ đĩa bị tiêm nhiễm.
Hoạt động
Khi khởi động, worm sẽ tiêm nhiễm đoạn code của nó vào không gian địa chỉ của
một trong các tiến trình hệ thống thống "svchost.exe".
